nginx

Читает заголовок ответа Server, который nginx выставляет на каждый ответ. Эндпоинта версии не существует: nginx (в отличие от REST API NGINX Plus) вообще ничего не отдаёт анонимно — /stub_status из ngx_http_stub_status_module даёт только счётчики соединений, никогда версию.

targets:
  - id: nginx-main
    product: nginx
    address: https://www.example.com

Аутентификация

Отсутствует — принимается любой код статуса, поскольку nginx проставляет свой заголовок Server на страницы ошибок и редиректы точно так же, как и на 200. Таргет, у которого / отвечает 404 или который сидит за vhost’ом с basic-аутентификацией, всё равно нормально сообщает версию. Подтверждено вживую на реальных контейнерах nginx:1.27.4 для обоих случаев.

server_tokens off убирает версию

Собственная настройка hardening у nginx (обычная для продакшна) проставляет заголовок как голое "nginx" без версии вообще — подтверждённый продукт, у которого просто не осталось ничего для сравнения с календарём жизненного цикла, а не ошибка парсера.

Записываемые поля

Только version — эта проба не записывает никаких полей extra.

Сопоставление с CVE

Сверяется с NVD и БДУ ФСТЭК, если настроен блок cve:. Начиная с 2.2, cve.nginx.path добавляет собственные бюллетени безопасности nginx, в которых указан первый исправленный релиз для каждой ветки: стабильный релиз с исправлением (1.30.5) больше не помечается диапазоном, записанным до исправления в mainline. См. Собственные данные вендоров → nginx.

Резолвер жизненного цикла

endoflife:nginx.